Ненатуралы на марше

[dil]

"Unfortunately, many firewall administrators go too far. In their attempts at controlling outbound access, they end up preventing outbound access to all protocols except for HTTP or SSL secured HTTP (HTTPS). This prevents remote users from accessing your Exchange Server using secure Outlook RPC connections via ISA Server 2000 Secure Exchange RPC publishing. Blocking secure RPC connections prevents your remote users from benefiting from the full Outlook MAPI client.

Microsoft realized the magnitude of this problem. Their solution is the RPC over HTTP protocol. This protocol allows remote Outlook 2003 clients to connect to Exchange 2003 Servers using HTTP or HTTPS."

Это вместо того, чтобы повышать безопасность своей реализации RPC...

(C) http://www.msexchange.org/tutorials/outlookrpchttp.html

Comments

[1master.livejournal.com]

Ну при чем здесь рпц то? Ломают все едино, не рпц, а приложение.

[1master.livejournal.com]

А кстати IT в больших компаниях способно иногда мертвого заебать. Последний пример, когда из корпа они отказались реплицировать от нас базу человеческим образом, зато кажные несколько недель они до нас доебываются, чтобы мы ее в виде файла им дали. Так, что я понимаю MS, который делает лазейку от мудаков для юзеров. Только это бесполезно, потом же придется HTTP трафик потрошить, чтобы лазейка закрывалась ;)

Ну чтобы не быть голословным

[dil.livejournal.com]

Это сама реализация RPC: http://www.securityfocus.com/bid/3104
http://www.securityfocus.com/bid/11380
а это конкретно про ихний WebDAV:
http://www.securityfocus.com/bid/11384
ну и до кучи:
http://www.securityfocus.com/bid/7735

[dil.livejournal.com]

Они его еще и в HTTPS обещали завернуть. Там не попотрошишь :(

[lazyboa.livejournal.com]

Ну, не только поэтому. «HTTP — он через любой прокси пролезает».

Re: Ну чтобы не быть голословным

[1master.livejournal.com]

1. Почти год
2. Полгода, и вообще меньше надо желтую прессу читать. Берем из желтой прессы KB ID и идем с ним на MS. Обнаруживаем, что окромя NT4 ничего не vulnerable.
3. Единственный серьезный баг, да и тот опасен DoS, а не exploit. Баг, кстати, в приложении, это хорошо видно из того, что NT4 не пробита (т.е. ломается IIS)
4. Вообще двухгодичной давности. Не говоря о том, что оно тоже WebDAV.

Т.е. имеем 2 бага в RPC из которых один тотально древний, второй забыли пофиксить в древней операционке. А остальное - приложения. О чем, собственно, я и говорил.

[1master.livejournal.com]

Сделают IAS User Agent (кстати кажись у него есть что-то подобное), которое будет потрошить еще до отправки, либо слать на корпоративную проксю вторым потоком то, что она сможет анализировать.